Synology NAS med to LAN-porter: hvorfor VPN-håndtrykket mislykkes

Den bærbare datamaskinen rapporterer en TLS-håndtrykkfeil, som høres ut som et sertifikatproblem og vanligvis ikke er det. På en NAS med to Ethernet-porter er den vanligste årsaken en ruter-videresending rettet mot adressen pakken ikke lytter på, og klientens melding er identisk i begge tilfeller. Pakken svarer ikke på den andre porten bare fordi begge kablene er plugget inn. Før noen utsteder et sertifikat på nytt, må dere bevise at en pakke i det hele tatt når NAS-en.

Hva klienten rapporterer, og hva som faktisk skjedde

En håndtrykkfeil fra en OpenVPN-klient er en samlebetegnelse. Den dekker avvik i sertifikat, avvik i transport, en lytter på en annen port og en videresending som ikke leverte noe. Derfor er meldingen ubrukelig som utgangspunkt og nyttig bare som bekreftelse. Behandle den som en erklæring om at økten ikke ble etablert, og ikke noe mer spesifikt.

Porten og den bundne adressen er de to faktaene som avgjør om en pakke noen gang ankommer.

Skriv ned begge før dere endrer noe, for en plausibel rettelse brukt på feil lag er måten et problem på femten minutter blir en hel ettermiddag. Noter grensesnittet, adressen på det, porten og transporten. De fire verdiene utgjør hele den innkommende veien, og neste avsnitt forklarer hvor hver av dem bor.

Finn adressen pakken lytter på

DSM nummererer Ethernet-portene, og hver av dem bærer sin egen adresse. Siden VPN Server angir grensesnittet OpenVPN-tjenesten bruker, og nettverkspanelet viser adressen som er konfigurert på det grensesnittet. Les dem i den rekkefølgen, fra tjenesten og utover, slik at dere beskriver det som lytter i stedet for det dere antar at det bør bruke.

Tjenesten binder én adresse. At begge portene er tilkoblet og aktive, får ikke tjenesten til å svare på den andre. En statisk adresse på det ene grensesnittet ved siden av en DHCP-adresse på det andre gir dere to like verdier som lett forveksles ved et blikk, særlig når de bare skiller seg i den siste oktetten. Kopier adressen fra panelet i stedet for å skrive den fra hukommelsen. Bekreft deretter på NAS-en hva som faktisk er bundet til porten.

sudo ss -lunp | grep 1194

Hvis den utskriften angir en adresse dere ikke forventet, er videresendingen rettet mot feil grensesnitt, og alt annet her er bokføring. Rett regelen før dere leser videre, ellers ender dere med å feilsøke et sertifikat på grunn av en pakke som aldri forlot ruteren.

Reparer videresendingen, og hold deretter øye med telleren

Rediger den eksisterende videresendingsregelen i stedet for å legge til en ny for samme eksterne port. To regler kan eksistere side om side i en ruters tabell, og bare én vinner noen gang, noe som gjør en feilsøkingsøkt til en diskusjon om hvilken som er den ekte. Pek den interne adressen mot verdien dere leste fra NAS-en, og la den interne porten samsvare med det tjenesten lytter på.

Hvis DSM får den adressen via DHCP, opprett først en reservasjon. En endring i leieavtalen bryter stille en videresending som virket i går.

sudo tcpdump -i any -n udp port 1194

Begynn opptaket før klienten prøver å koble til, og les kildeadressen i alt som dukker opp. Ingenting i det hele tatt betyr at noe underveis forkastet det: videresendingen, DSM-brannmuren eller grensesnittet det var rettet mot, og sertifikater kan ikke være årsaken så lenge det gjelder. Noe som kommer fra klientens offentlige adresse uten svar, betyr at NAS-en mottok forespørselen og valgte å ikke svare. Det er forskjellige funn, og bare det andre sender dere tilbake til pakkens egne innstillinger.

Først da ser dere på sertifikater og transport

Når pakkene ankommer, eksporter profilen på nytt etter enhver sertifikatendring, fordi den gamle filen fortsatt bærer autoriteten den ble opprettet med. En profil som er redigert for hånd for en annen transport, lar klienten vente på en lytter som ikke finnes, og den rapporterer den samme generiske feilen som alt annet. Sammenlign transporten i profilen med transporten pakken er satt til å betjene. To profiler for to transporter er et legitimt design, og én profil redigert for begge er det ikke.

Test utenfra ditt eget nettverk som siste trinn, siden en tilkobling fra LAN-et kan lykkes over en vei som aldri berører videresendingen.

Hold den eksporterte profilen, grensesnittadressen og videresendingsregelen sammen i ett notat. Når en adresse endres, er det notatet forskjellen mellom en rettelse og en gjentakelse. Ingenting på denne veien krevde en reinstallasjon av en pakke, noe som er verdt å huske før den neste omstarten får skylden.